El nuevo paradigma de gestión de la innovación y la tecnología. Cumplimiento (2)
La resiliencia geopolítica como nueva dimensión de la gestión
tecnológica
Uno de los elementos diferenciales del nuevo paradigma consiste en incorporar
la geopolítica a la gestión de la innovación y la tecnología.
Tradicionalmente, las organizaciones han evaluado sus dependencias
tecnológicas atendiendo a criterios económicos, operativos, contractuales y de
disponibilidad.
Sin embargo, la creciente competencia estratégica entre potencias, las
tensiones internacionales, las restricciones comerciales, las políticas de
control de exportaciones, la concentración de capacidades tecnológicas y las
vulnerabilidades de las cadenas de suministro han convertido las dependencias
geopolíticas en factores relevantes de riesgo empresarial y de seguridad
nacional.
En consecuencia, una organización puede disponer de sistemas técnicamente
seguros y, al mismo tiempo, presentar vulnerabilidades estructurales derivadas
de su dependencia de fabricantes, tecnologías, infraestructuras o jurisdicciones
externas.
Por ejemplo, una interrupción en el suministro de semiconductores, la
imposibilidad de acceder a actualizaciones de software, una restricción de
exportación tecnológica, la indisponibilidad de servicios cloud o la pérdida de
soporte de un fabricante pueden comprometer la continuidad de una
infraestructura esencial sin que necesariamente se haya producido un ciberataque.
De ahí surge la necesidad de incorporar una nueva dimensión: la resiliencia
geopolítica y tecnológica.
Definición de resiliencia geopolítica
Se propone definirla como:
La capacidad de una organización, infraestructura crítica o entidad esencial
para anticipar, evaluar, prevenir, absorber, gestionar y superar las
perturbaciones derivadas de tensiones geopolíticas, conflictos internacionales,
restricciones tecnológicas, dependencias estratégicas y alteraciones de las
cadenas de suministro, manteniendo su autonomía operativa, su seguridad y la
continuidad de los servicios esenciales.
Esta definición incorpora cuatro capacidades fundamentales:
- Anticipación estratégica.
- Diversificación y reducción de dependencias.
- Capacidad de sustitución y adaptación tecnológica.
- Continuidad y recuperación frente a perturbaciones geopolíticas.
Principales
dimensiones de la resiliencia geopolítica
Modelo de resiliencia geopolítica integral
Soberanía tecnológica
Control de dependencias tecnológicas, capacidades estratégicas y acceso
a componentes críticos.
Resiliencia de suministro
Diversificación de proveedores, trazabilidad, alternativas y planes de
contingencia.
Independencia operativa
Capacidad de mantener servicios tecnológicos esenciales ante la pérdida
de proveedores o plataformas externas.
Inteligencia estratégica
Seguimiento de riesgos geopolíticos, regulatorios, tecnológicos y de
seguridad internacional.
Líneas de actuación
La resiliencia geopolítica debe traducirse en actuaciones concretas:
- Elaboración de mapas de dependencias tecnológicas y estratégicas.
- Identificación de proveedores críticos y subproveedores.
- Evaluación del riesgo país y de la jurisdicción aplicable a los
proveedores.
- Análisis de concentración de proveedores y puntos únicos de fallo.
- Diversificación geográfica y tecnológica.
- Evaluación de alternativas de sustitución de componentes y servicios.
- Desarrollo de capacidades internas y conocimiento tecnológico propio.
- Establecimiento de estrategias de salida (exit strategies) para servicios
externalizados.
- Garantía de portabilidad de datos, interoperabilidad y capacidad de
recuperación.
- Identificación de tecnologías críticas cuya indisponibilidad podría
comprometer servicios esenciales.
La finalidad no es alcanzar una autarquía tecnológica, sino conseguir una
autonomía estratégica suficiente para evitar que una dependencia externa se
convierta en una vulnerabilidad sistémica.
Arquitectura
del modelo integral de gestión de innovación, seguridad y resiliencia
A partir de los elementos anteriores, se propone un modelo de gestión
integrado que articule la innovación tecnológica, la seguridad, la
ciberseguridad, el cumplimiento normativo y la resiliencia geopolítica.
El modelo puede estructurarse en seis dominios interrelacionados:
Arquitectura conceptual propuesta
GOBERNANZA ESTRATÉGICA
Dirección · Riesgos · Cumplimiento · Inversión · Responsabilidad
- Innovación segura - Security by Design
- Ciberseguridad - Protección digital y OT
- Seguridad integral - Protección física y lógica
- Resiliencia operativa - Continuidad y recuperación
- Gobernanza normativa - NIS-2 · CER · ISO 27001
- Resiliencia geopolítica - Autonomía y suministro
RESULTADO: INFRAESTRUCTURA SEGURA Y RESILIENTE
DISPONIBILIDAD INTEGRIDAD ·CONFIDENCIALIDAD ·CONTINUIDAD ADAPTABILIDAD
·AUTONOMÍA ESTRATÉGICA
Elaboración conceptual propia. Los seis dominios se gestionan
transversalmente y no constituyen compartimentos independientes.
Gobernanza estratégica
La dirección de la organización debe asumir la responsabilidad de integrar la
seguridad en la estrategia de innovación, definir el apetito de riesgo, aprobar
las inversiones necesarias y supervisar la eficacia de las medidas implantadas.
La gobernanza debe conectar las funciones de innovación, tecnología,
seguridad de la información, ciberseguridad, continuidad de negocio, seguridad
física, compras y gestión de riesgos.
Gestión integral de riesgos
Es necesario establecer una metodología común que permita identificar y
evaluar:
- Riesgos tecnológicos y cibernéticos.
- Riesgos físicos y operacionales.
- Riesgos humanos y organizativos.
- Riesgos de terceros y cadenas de suministro.
- Riesgos geopolíticos y regulatorios.
- Riesgos de obsolescencia y dependencia tecnológica.
La evaluación debe considerar la probabilidad, el impacto, la
interdependencia de los activos y las consecuencias de la interrupción de los
servicios esenciales.
Arquitectura de seguridad y resiliencia
La arquitectura debe integrar las tecnologías de protección física y lógica
con los sistemas de monitorización, detección, respuesta y recuperación.
Asimismo, debe contemplar la separación y protección de los entornos IT y OT,
la gestión de identidades, la segmentación de redes, la redundancia de servicios
y la recuperación de sistemas críticos.
Gestión de la cadena de suministro
La seguridad de los proveedores debe integrarse en todo el ciclo de
contratación y gestión tecnológica.
Esto incluye la evaluación previa, los requisitos contractuales, las
auditorías, la supervisión continua, la gestión de vulnerabilidades, la
trazabilidad de componentes y los planes de sustitución.
Continuidad, respuesta y recuperación
La organización debe disponer de capacidades verificables para mantener sus
servicios esenciales ante incidentes, incluyendo:
- Planes de continuidad de negocio (BCP).
- Planes de recuperación tecnológica (DRP).
- Planes de respuesta a incidentes.
- Planes de gestión de crisis.
- Protocolos de comunicación y coordinación.
- Ejercicios y simulacros periódicos.
Evaluación y mejora continua
La eficacia del modelo debe medirse mediante indicadores de seguridad,
madurez, resiliencia, cumplimiento y dependencia tecnológica.
El resultado debe alimentar las decisiones de innovación, inversión y
transformación organizativa.
Modelo
de implantación: hoja de ruta estratégica y operativa
Para convertir el paradigma conceptual en un modelo operativo, se propone una
implantación progresiva en cinco fases.
| Fase | Actuaciones principales | Resultado |
| 1. Diagnóstico | Inventario de activos, servicios esenciales, riesgos, dependencias y situación normativa | Mapa de situación y brechas |
| 2. Diseño | Definición de arquitectura de seguridad, SGSI y modelo de resiliencia | Modelo integrado |
| 3. Implantación | Aplicación de controles tecnológicos, organizativos y físicos | Capacidades de protección |
| 4. Validación | Auditorías, pruebas de seguridad, simulacros y certificación ISO 27001 | Evidencias de eficacia |
| 5. Evolución | Monitorización, inteligencia de amenazas y reevaluación estratégica | Mejora continua |
8.1. Indicadores de desempeño y resiliencia
La gestión debe apoyarse en indicadores que permitan comprobar el grado de
implantación y la eficacia real del modelo.
Algunos indicadores propuestos son:
| Indicador | Qué permite evaluar |
| Cobertura de activos críticos | Porcentaje de activos identificados y clasificados |
| Cobertura de Security by Design | Proyectos tecnológicos con requisitos de seguridad desde su inicio |
| Madurez de ciberseguridad | Eficacia de los controles de protección y detección |
| Riesgo residual | Exposición después de aplicar medidas de tratamiento |
| Dependencia de proveedores críticos | Concentración y vulnerabilidad de suministro |
| Tiempo de detección (MTTD) | Capacidad de identificar incidentes |
| Tiempo de recuperación (RTO) | Capacidad de recuperar servicios |
| Pérdida máxima de datos (RPO) | Capacidad de recuperación de información |
| Cobertura del SGSI | Alcance y grado de implantación del sistema |
| Resiliencia geopolítica | Capacidad de sustitución y continuidad ante perturbaciones externas |
Estos indicadores deben disponer de objetivos, responsables, periodicidad de
medición y mecanismos de escalado a la dirección.
No basta con medir el número de herramientas desplegadas o de controles
implantados: es necesario demostrar que la organización puede mantener sus
funciones esenciales ante escenarios adversos.
Implicaciones
estratégicas para la innovación y la competitividad
La adopción de este paradigma supone una transformación profunda de la forma
en que las organizaciones conciben y gestionan la innovación.
En primer lugar, modifica los criterios de selección de tecnologías. Una
solución ya no debe evaluarse únicamente por sus funcionalidades, costes o
rendimiento, sino también por su seguridad, capacidad de recuperación,
interoperabilidad, trazabilidad y dependencia de terceros.
En segundo lugar, transforma la relación entre innovación y gestión de
riesgos. La seguridad pasa a participar desde las primeras decisiones de
inversión y diseño, evitando que las vulnerabilidades estructurales se descubran
cuando los sistemas ya están desplegados.
En tercer lugar, amplía el concepto de competitividad. La capacidad de
ofrecer servicios seguros, fiables y continuos se convierte en un factor de
confianza para clientes, administraciones públicas, socios tecnológicos y
operadores de infraestructuras críticas.
Finalmente, incorpora una dimensión de autonomía estratégica. Las
organizaciones capaces de identificar sus dependencias y disponer de
alternativas tecnológicas estarán mejor preparadas para afrontar interrupciones
de suministro, cambios regulatorios y perturbaciones internacionales.
En este sentido, el nuevo paradigma permite establecer una relación directa
entre innovación, seguridad, resiliencia y sostenibilidad tecnológica.
Conclusiones:
hacia una nueva cultura de innovación segura y resiliente
La evolución del entorno tecnológico, la transformación digital y la
creciente complejidad de las amenazas hacen necesario superar los modelos
tradicionales de gestión de la innovación y la tecnología.
Las directivas europeas NIS-2 y CER representan un cambio significativo en la
concepción de la seguridad de las organizaciones y de las infraestructuras que
prestan servicios esenciales. Ambas establecen la necesidad de gestionar los
riesgos desde una perspectiva integral, contemplando tanto las amenazas
digitales como las físicas, operativas y sistémicas.
En este contexto, la incorporación de Security by Design, la implantación de
un Sistema de Gestión de Seguridad de la Información certificado conforme a
ISO/IEC 27001 y el desarrollo de capacidades de resiliencia geopolítica
constituyen elementos fundamentales de un modelo avanzado de gestión
tecnológica.
La propuesta presentada permite evolucionar desde una visión fragmentada de
la seguridad hacia una arquitectura integrada en la que convergen:
- La innovación tecnológica segura.
- La protección de infraestructuras críticas.
- La ciberseguridad y la seguridad física.
- La gestión de riesgos y el cumplimiento normativo.
- La continuidad de los servicios esenciales.
- La seguridad de las cadenas de suministro.
- La autonomía y resiliencia geopolítica.
- La mejora continua y la gobernanza corporativa.
La principal transformación consiste en reconocer que la seguridad no es una
característica adicional de la tecnología, sino una condición estructural para
que la innovación pueda generar valor de manera sostenible.
El nuevo paradigma puede sintetizarse en una idea central: no se trata
únicamente de innovar para transformar las organizaciones, sino de innovar para
construir organizaciones, tecnologías e infraestructuras capaces de operar,
resistir, adaptarse y evolucionar en un entorno de amenazas, incertidumbre e
interdependencia global.
De esta manera, la seguridad se convierte en un factor estratégico de innovación, la resiliencia en una capacidad organizativa esencial y la autonomía tecnológica en una condición para la continuidad y sostenibilidad de los servicios críticos.
